Question

我知道大多数人会对此皱眉，但在我了解PDO语句和转义字符串之前，我不确定我应该如何阻止mysql注入。

我创建了一个函数，它接受文本并通过过滤器运行它。我想知道它是否真的会阻止sql注入或者它们是否可以绕过它？我当时的目标是允许用户输入文本并能够在输入文本时完全显示。

除此之外，我还要小心确保用户对数据库的权限不再需要。我是否正在使用他们的输入更新或插入新行等。但鉴于我没有它会继续工作吗？：

function filterInput($textToFilter)
{
    if ($textToFilter != null)
{



    //a = &#97;
    //e = &#101;
    //i = &#105;
    //o = &#111;
    //u  = &#117;

    //A = &#65;
    //E = &#69;
    //I = &#73;
    //O = &#79;
    //U = &#85;

    $textToFilter = str_ireplace('insert','ins&#101rt',$textToFilter);
    $textToFilter = str_ireplace('select','s&#101lect',$textToFilter);
    $textToFilter = str_ireplace('values','valu&#101s',$textToFilter);
    $textToFilter = str_ireplace('where','wher&#101',$textToFilter);
    $textToFilter = str_ireplace('order','ord&#101r',$textToFilter);
    $textToFilter = str_ireplace('into','int&#111',$textToFilter);
    $textToFilter = str_ireplace('drop','dr&#111p',$textToFilter);
    $textToFilter = str_ireplace('delete','delet&#101',$textToFilter);
    $textToFilter = str_ireplace('update','updat&#101',$textToFilter);
    $textToFilter = str_ireplace('set','s&#101t',$textToFilter);
    $textToFilter = str_ireplace('flush','fl&#117sh',$textToFilter);
    $textToFilter = str_ireplace("'","&#39",$textToFilter);
    $textToFilter = str_ireplace('"',"&#34",$textToFilter);
    $textToFilter = str_ireplace(';',"&#59",$textToFilter);
    $textToFilter = str_ireplace('>',"›",$textToFilter);
    $textToFilter = str_ireplace('<',"‹",$textToFilter);
$textToFilter = nl2br($textToFilter);
$filterInputOutput = $textToFilter;
return $filterInputOutput;  
}
}

Answer 1

由于您正在尝试推出自己的“过滤器”功能 - 标准响应是“是的，您是”。编写“安全”代码是非常困难的，而且你基本上都在尝试重新发明轮子，并且这样做的方式很糟糕。

为什么你能做到这一点（无意义的）麻烦呢？

$safe_text = mysql_real_escape_string($badtext);

（或者您的数据库库提供的任何转义函数）并让数据库为您完成所有艰苦的工作？

Answer 2

这种事情最好留给专家。不要试图自己动手。您应立即将此功能修补为更安全：

function filterInput($textToFilter)
{
    return mysql_real_escape_string($textToFilter);
}

稍后，您可以删除对filterInput的所有引用，并将其替换为mysql_real_escape_string。接下来的步骤是完全停止使用mysql_query，因为它非常危险。切换到mysqli或PDO可以带来显着的好处，特别是因为您可以使用SQL占位符为您进行转义，避免可能导致您付出沉重代价的简单错误。

Answer 3

肯定是“是”，因为str_ireplace编码不安全（参见infos）。

还有“是”，因为你忘记了“截断”，“授予”，“创建”等等。

最好的方法是忘记它并转移到prepared statements。

我仍然容易受到SQL注入攻击吗？ PHP

3 个答案: